よく「今月のパケ代が高い」などの言葉を聞きます．現在の通信はパケット交換方式が主流です．パケット交換方式はディジタル通信方式の一つで，データをパケットという単位で送受信するものです．パケットを宅配便の荷物とイメージするとよいでしょう．パケットはヘッダとペイロードから構成されます．ヘッダは荷送り状に当たり，宛先や送信元などの項目がフィールドとして用意されます．そしてペイロードが荷物の部分で，各プロトコルで送るデータが入ります．

さて，このようなパケットは無線や銅線，光ファイバで伝送されるので，直接見ることはできません．そこで，パケットを「見える化」するツールがLANアナライザです．LANアナライザはパケットを解読して，ヘッダ，フィールド，ペイロードの内容を表示するツールです．LANアナライザを用いることで，通信のデバッグや調査，トラブルシューティング，最近ではサイバーセキュリティの分析などを行うことができます．

オープンソースLANアナライザWiresharkは，Gerald Comb氏がスタートさせた前身のEtherealから数えて2024年で，26年目になります．筆者は同氏が創設した米国のCACE Technologiesの代理店をしていたことから，Wireshark開発者会議で講演を続けるとともに，GTKからQTにフレームワークが変更された際に，最初にWiresharkの日本語化を行いました．

現在，Wiresharkは解読できるプロトコル（Dissector）数は2,900以上，フィールド数は244,000を超え，2,100人以上の開発者，ソースコードは330万行を上回る大きなプロジェクトとなっています．現在のWiresharkのメジャーバージョンは4になり，2024年5月時点で4.2.4がリリースされています．公式プロジェクトサイトはhttps://www.wireshark.org/ です．

Wiresharkは図1のような構成をしていて，CLI版のtsharkとともに，汎用の復号器（デコーダ）として設計されています．パケットキャプチャを行う部分は Wireshark/tsharkとは独立しており，dumpcapが行います．dumpcapはlibpcap互換のパケットキャプチャドライバを呼び出してパケットを取得します．Windows環境ではCACE社の開発していたWinPcapに代わり，現在ではNmapプロジェクトが作成したNpcapがパケットキャプチャドライバとしてWiresharkに同梱されています．もちろんdumpcapをはじめとした，ほかのキャプチャツールや形式からの入出力もlibwiretapから行えます．Wiresharkの中心となるlibwiresharkはEPAN（Ethereal Packet Analyzer）フォルダにあり，パケットの絞り込みを行う表示フィルタ（Display filters），統計画面などのプラグイン………

図１　Wiresharkのアーキテクチャ

全文 PDFはこちらから